Intelligenza artificiale, nuovi reati e responsabilità degli enti: gli artt. 437-bis e 612-quater c.p. nel sistema 231

Punti essenziali

• L’art. 437-bis c.p. riguarda sistemi di IA ad alto rischio e richiede che dall’omissione o dall’alterazione derivi il pericolo indicato dalla norma; la mera irregolarità documentale non basta.
• L’art. 612-quater c.p. richiede diffusione non consensuale di immagini, video o voci falsificati o alterati con IA, idoneità all’inganno e un danno ingiusto causalmente conseguente.
• L’art. 25-vicies prevede, rispettivamente, 600–1.000 e 200–700 quote, oltre alle interdizioni espressamente richiamate; non introduce una responsabilità generale dell’ente per qualunque impiego illecito dell’IA.
• La mancanza della querela impone di considerare anche l’art. 37 D.Lgs. 231/2001: l’autonomia di cui all’art. 8 non può essere letta isolatamente.
• Un’assenza o insufficienza del Modello 231 non coincide, da sola, con la prova della colpa di organizzazione: il rischio-reato e l’eventuale deficit preventivo vanno accertati concretamente. Il principio proviene da giurisprudenza relativa ad altri reati-presupposto, non da decisioni sul nuovo art. 25-vicies.

1. Dall’AI Act al diritto penale nazionale

Il Regolamento (UE) 2024/1689, generalmente indicato come AI Act, stabilisce un quadro armonizzato per l’intelligenza artificiale fondato, fra l’altro, sulla classificazione dei sistemi e sulla distribuzione degli obblighi lungo la filiera. La L. n. 132/2025 ha introdotto principi e disposizioni nazionali e, con l’art. 24, ha conferito deleghe al Governo. Il D.Lgs. n. 160/2026 ha quindi disciplinato, tra le altre materie, profili penali e di responsabilità degli enti: l’art. 12 ha inserito l’art. 437-bis c.p.; l’art. 15 ha inserito l’art. 25-vicies nel decreto 231.

Questa sequenza non va descritta come una trasposizione meccanica degli illeciti regolatori europei nel codice penale. L’AI Act concorre a definire oggetto, operatori e standard tecnici; la punibilità discende però dalla legge penale nazionale e dalla ricorrenza di tutti gli elementi che essa esige. L’art. 11 del D.Lgs. n. 160/2026 dispone, per il titolo che contiene le nuove norme penali, l’applicazione delle definizioni dell’art. 3 dell’AI Act. Il riferimento è importante per individuare che cosa sia un sistema di IA e per distinguere, nella filiera, fornitore, deployer, importatore e distributore. Non autorizza, tuttavia, a sostituire la descrizione legislativa del reato con l’intero complesso degli obblighi del regolamento.

Merita particolare attenzione la nozione di «sistema di IA ad alto rischio». L’art. 6 dell’AI Act disciplina più percorsi di classificazione, compresi quelli relativi a determinati prodotti e componenti di sicurezza e agli impieghi indicati nell’allegato III, con le precisazioni ed eccezioni previste dallo stesso articolo. Un sistema non diventa penalmente rilevante soltanto perché è tecnologicamente complesso, impiegato in un settore sensibile o qualificato «critico» da una policy aziendale. Occorre motivare la classificazione rispetto alla specifica finalità prevista, al ruolo dell’operatore e alle disposizioni europee applicabili.

Va evitata anche una diversa scorciatoia. L’art. 2 del D.Lgs. n. 160/2026 contiene definizioni esplicitamente formulate «ai fini del presente titolo», riferite al titolo sull’attività di polizia; l’art. 11 apre invece il titolo che comprende le disposizioni penali con un autonomo rinvio all’art. 3 dell’AI Act. L’ambito dei due rinvii non dovrebbe essere sovrapposto senza una verifica testuale e sistematica. Per il principio di legalità, la classificazione europea può contribuire a determinare il campo applicativo del precetto, ma non può legittimare un’estensione analogica in malam partem della responsabilità penale.

Il salto qualitativo del 2026 consiste dunque in questo: decisioni su sicurezza, sorveglianza umana, rilascio dei sistemi e circolazione di contenuti sintetici possono ora assumere rilievo non soltanto regolatorio o civilistico, ma anche penale e, in presenza degli ulteriori presupposti, 231. Resta imprescindibile mantenere distinti i quattro piani. Le questioni relative alla responsabilità civile, all’accesso alla prova e alle presunzioni introdotte dallo stesso decreto sono trattate nel precedente contributo del Commentario dedicato al D.Lgs. 160/2026, responsabilità civile, prova e governance dell’intelligenza artificiale.

2. Il nuovo art. 437-bis c.p.

Testo vigente e struttura della disposizione

L’art. 437-bis c.p., introdotto dall’art. 12, comma 1, D.Lgs. n. 160/2026, dispone:

«Chiunque omette di adottare le misure tecniche di sicurezza, previste per la progettazione, l’addestramento, la produzione, l’immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette di adottare misure di sorveglianza umana è punito con la reclusione da uno a cinque anni, quando da tali omissioni derivi pericolo per la vita o l’incolumità pubblica o individuale. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da due a otto anni.

Salvo che il fatto costituisca più grave reato, chiunque, al di fuori dei casi indicati al primo comma, altera sistemi di intelligenza artificiale ad alto rischio è punito, qualora dal fatto derivi un pericolo per la vita o l’incolumità pubblica o individuale, con la reclusione da due a sei anni. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da tre a dieci anni.

Se taluno dei fatti previsti dal comma primo è commesso per colpa grave, la pena è ridotta da un terzo a un sesto.

L’utilizzatore professionale di sistemi di intelligenza artificiale ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana è punito con le pene previste dal primo comma, primo e secondo periodo, qualora da tale omissione derivi, rispettivamente, pericolo per la vita o l’incolumità pubblica o individuale oppure un pericolo per la sicurezza dello Stato».

I quattro commi non descrivono un’unica condotta. Il primo riguarda omissioni di misure tecniche o di sorveglianza; il secondo l’alterazione del sistema fuori dai casi del primo; il terzo limita alla colpa grave la punibilità colposa dei fatti previsti dal primo comma; il quarto individua espressamente l’utilizzatore professionale che omette intenzionalmente la sorveglianza umana. Ne segue, sul piano letterale, che la previsione della colpa grave non può essere automaticamente estesa all’alterazione del secondo comma né alla condotta intenzionale del quarto.

Bene protetto, pericolo e nesso con la condotta

La collocazione dopo l’art. 437 c.p., nel titolo dei delitti contro l’incolumità pubblica, segnala la centralità della sicurezza rispetto ai rischi prodotti da sistemi ad alto rischio. Il testo del nuovo articolo menziona tuttavia anche la vita o incolumità individuale e la sicurezza dello Stato. Il bene protetto non può quindi essere ridotto alla prevenzione degli infortuni sul lavoro né a una generica «sicurezza informatica»: la fattispecie seleziona pericoli riferiti ai beni espressamente indicati.

La formula «quando da tali omissioni derivi pericolo», ripetuta nelle altre ipotesi, impone di accertare una situazione di pericolo concretamente riferibile alla condotta contestata. Questa qualificazione come reato di pericolo concreto è una lettura testuale e sistematica, non una massima giurisprudenziale formatasi sul nuovo articolo. Il pubblico ministero dovrà individuare quale misura dovuta sia mancata, quale malfunzionamento o alterazione essa fosse idonea a prevenire, quale pericolo si sia manifestato e perché la misura omessa avrebbe avuto rilevanza nel caso concreto. Per l’omissione, la verifica richiede anche un giudizio controfattuale rigoroso: non è sufficiente affermare che «più controlli» avrebbero genericamente aumentato la sicurezza.

La disposizione non esige la verificazione di morte, lesioni o danno alla sicurezza statale, ma non punisce nemmeno ogni inosservanza delle regole di progettazione o di documentazione. Un errore formale nell’archivio tecnico, una classificazione controversa o un protocollo di supervisione imperfetto possono avere rilievo regolatorio e probatorio; diventano parte della fattispecie del primo comma soltanto se ricorrono gli ulteriori requisiti tipici, compreso il pericolo derivato dall’omissione. Simmetricamente, la presenza di documentazione di conformità non esclude automaticamente che un presidio essenziale fosse concretamente assente.

Primo comma: sicurezza lungo il ciclo di vita

L’elenco legislativo menziona progettazione, addestramento, produzione e immissione sul mercato. Si tratta di fasi con rischi diversi: nella progettazione si definiscono architettura, limiti, controlli e possibilità di intervento umano; nell’addestramento assumono rilievo qualità e gestione dei dati nella misura in cui incidano sulla sicurezza; nella produzione si implementano e verificano i presidi; nell’immissione sul mercato si decide se rendere disponibile un sistema in presenza delle condizioni necessarie. L’analisi penale non può però attribuire automaticamente a qualunque difetto in tali fasi una capacità causale rispetto a ogni successivo output pericoloso.

Le «misure tecniche di sicurezza» devono essere individuate concretamente: per esempio limiti operativi, controlli di integrità, protezione delle configurazioni, test pertinenti, meccanismi di blocco, gestione delle vulnerabilità o difese contro manipolazioni dei dati, se dovuti e adeguati a prevenire il malfunzionamento o l’alterazione in esame. Sono esempi applicativi, non un catalogo penale tassativo introdotto dall’articolo. Le «misure di sorveglianza umana» richiedono, a loro volta, un assetto effettivo: persona formata, informazioni comprensibili, possibilità reale di rilevare anomalie e facoltà di intervenire o interrompere l’utilizzo quando necessario. Una firma apposta su una checklist, senza tempo, accesso ai dati o autorità di intervento, può non equivalere a sorveglianza effettiva.

Secondo comma: alterazione e clausola di riserva

Il secondo comma punisce «chiunque», «al di fuori dei casi indicati al primo comma», alteri un sistema di IA ad alto rischio, purché derivi il pericolo previsto. La condotta è descritta in termini ampi: un intervento su modello, parametri, dati operativi, controlli o configurazione può essere rilevante se incide sul funzionamento del sistema. È però una questione interpretativa stabilire quali modificazioni integrino «alterazione» penalmente tipica, distinguendole dagli aggiornamenti autorizzati e dagli interventi di manutenzione. Il solo fatto che una modifica non sia stata autorizzata internamente non prova ancora il pericolo richiesto dalla norma.

La clausola «salvo che il fatto costituisca più grave reato» riguarda questa ipotesi del secondo comma. Essa richiede un confronto tra il medesimo fatto storico e l’eventuale delitto più grave, anziché il cumulo automatico delle contestazioni. La giurisprudenza sulle clausole di riserva in fattispecie differenti può offrire un criterio metodologico, ma non risolve preventivamente tutte le interferenze che un’alterazione di IA potrà presentare con reati informatici, contro la persona o contro la sicurezza pubblica.

Terzo e quarto comma: colpa grave e utilizzatore professionale

Il terzo comma prevede una riduzione della pena da un terzo a un sesto se uno dei fatti del primo comma è commesso per colpa grave. È una previsione espressa di delitto colposo, circoscritta alle omissioni richiamate; non autorizza ad assimilare ogni errore di valutazione tecnica alla colpa penalmente rilevante. La soglia della gravità dovrà essere valutata rispetto a misura esigibile, prevedibilità del rischio, conoscenze disponibili, ruolo effettivo e possibilità concreta di adeguamento. L’idea che il legislatore abbia voluto evitare la punibilità della colpa lieve è coerente con la formulazione; i criteri precisi di graduazione, tuttavia, attendono elaborazione applicativa e non possono essere presentati come già consolidati.

Il quarto comma riguarda invece l’utilizzatore professionale e richiede l’omissione intenzionale delle misure di sorveglianza umana, oltre alla derivazione del pericolo. La scelta lessicale suggerisce un requisito soggettivo particolarmente selettivo riferito alla decisione di non adottare la misura; resta da precisare in sede interpretativa il rapporto tra tale intenzionalità e la rappresentazione del pericolo derivato. Non basta qualificare l’impresa come deployer: bisogna individuare la persona fisica, il suo potere sulla sorveglianza e la condotta concretamente tenuta.

Chi può rispondere: ruoli europei e imputazione penale personale

La qualità di fornitore (provider) nell’AI Act identifica un operatore della filiera, che può essere anche una persona giuridica; non costituisce da sola un criterio di attribuzione del reato a ogni amministratore o sviluppatore. Occorre risalire alla persona che, per funzioni e poteri, doveva adottare la specifica misura nella fase interessata e ha realizzato, con il necessario elemento soggettivo, il fatto tipico. Lo stesso vale per il produttore che integri l’IA in un prodotto: la relazione con la tecnologia è un dato iniziale, non la conclusione dell’accertamento penale.

L’importatore e il distributore non sono penalmente responsabili per la loro sola collocazione commerciale. Si dovrà verificare se, nel caso concreto, abbiano assunto decisioni relative a misure comprese nel precetto, abbiano concorso consapevolmente nella condotta altrui oppure abbiano posto in essere un’alterazione penalmente tipica. L’utilizzatore professionale/deployer è nominato dal quarto comma per la particolare omissione intenzionale della sorveglianza; per eventuali diverse contestazioni occorre specificare il fondamento normativo, senza cancellare la differenza tra i commi.

Per management, responsabili tecnici e compliance officer sono decisivi riparto effettivo di competenze, poteri decisionali, informazioni possedute e possibilità di agire. Il potere di approvare il lancio, interrompere un impiego pericoloso o finanziare un presidio può essere rilevante; un incarico soltanto consultivo non equivale automaticamente al controllo del rischio. Nemmeno la nomina del DPO, del CISO o di un referente AI crea, di per sé, una posizione di garanzia penale generale su ogni sistema. Il personale utilizzatore potrà rilevare soprattutto quando dispone realmente del compito e dei mezzi di sorveglianza o realizza personalmente l’alterazione; il mero uso ordinario del software non integra il reato.

3. Il rapporto tra gli artt. 437 e 437-bis c.p.

L’art. 437 c.p. riguarda l’omessa collocazione, rimozione o danneggiamento di impianti, apparecchi o segnali destinati a prevenire disastri o infortuni sul lavoro; prevede una risposta più grave se dal fatto deriva un disastro o un infortunio. Il nuovo art. 437-bis concerne invece sistemi di IA ad alto rischio, misure tecniche e sorveglianza umana, e subordina le proprie ipotesi al pericolo derivato per i beni indicati. La contiguità nella collocazione codicistica non cancella questa differenza di oggetto, struttura ed evento richiesto.

È utile, in chiave analogico-sistematica e non di applicazione analogica della norma penale, la domanda che accompagna i reati omissivi in materia di sicurezza: chi era tenuto a introdurre il presidio e in quale momento? Un secondo criterio è distinguere il presidio realmente destinato a evitare il rischio specifico da una generica scelta di efficienza. Un terzo è non confondere il rischio proprio del processo produttivo con la prova dell’elemento psicologico del singolo agente. Questi criteri aiutano a costruire l’indagine sul 437-bis; non attribuiscono a quest’ultimo risultati giurisprudenziali già formati sul 437.

Non sono invece trasferibili automaticamente né l’identità del bene protetto, né la disciplina dell’evento aggravante, né le conclusioni elaborate rispetto a presidi antinfortunistici materiali. Nell’IA, una misura può essere distribuita tra provider, integratore e utilizzatore; un sistema può cambiare configurazione; e la stessa espressione «sorveglianza umana» implica un processo, non necessariamente un singolo dispositivo. Ogni trasposizione deve quindi superare una verifica puntuale di testo, funzione della misura, controllo esercitabile e nesso con il pericolo.

La ricerca effettuata per questo contributo non ha restituito pronunce specifiche sull’art. 437-bis c.p.. Sarebbe metodologicamente improprio presentare come «orientamento della Cassazione sul nuovo reato» principi tratti da decisioni sull’art. 437 c.p. o sulla sicurezza del lavoro.

4. AI Act e obblighi di sicurezza

Il quadro europeo fornisce strumenti indispensabili per identificare misure, destinatari e documenti, ma non costituisce una presunzione di colpevolezza penale. Per i sistemi ad alto rischio, vengono in rilievo il sistema di gestione dei rischi, la governance dei dati, la documentazione tecnica, la registrazione degli eventi (logging), la trasparenza e le istruzioni d’uso, la sorveglianza umana, nonché accuratezza, robustezza e cibersicurezza. Sono inoltre pertinenti il sistema di gestione della qualità e il monitoraggio successivo all’immissione sul mercato, nei limiti soggettivi, temporali e materiali previsti dall’AI Act.

Il risk management system serve a individuare e attenuare rischi conosciuti e ragionevolmente prevedibili durante il ciclo di vita. Nell’analisi dell’art. 437-bis, può documentare che un rischio di malfunzionamento era stato rilevato, quale misura era stata scelta e perché un’alternativa fosse o non fosse esigibile. La data governance può assumere rilievo quando caratteristiche dei dati di addestramento, validazione o prova incidano sulla sicurezza; non ogni problema di rappresentatività o discriminazione, tuttavia, produce uno dei pericoli per vita, incolumità o sicurezza dello Stato richiesti dalla nuova norma penale.

La documentazione tecnica e i log hanno un duplice valore pratico: permettono la tracciabilità del sistema e possono diventare elementi rilevanti per ricostruire versione, input, interventi umani, anomalie e decisioni di rilascio. La loro assenza non dimostra automaticamente né un’omissione penalmente tipica né la derivazione del pericolo; può però rendere più difficile accertare e difendere la sequenza causale. La trasparenza verso il deployer incide soprattutto sulla possibilità di comprendere limiti e istruzioni; una supervisione umana nominale, non sostenuta da informazioni adeguate, rischia di perdere la propria efficacia preventiva.

La robustezza e la cibersicurezza sono particolarmente pertinenti alla prevenzione di manipolazioni e alterazioni del funzionamento. Il quality management e il post-market monitoring possono far emergere difetti ricorrenti o nuove modalità di rischio e giustificare interventi correttivi. Anche qui il passaggio dalla constatazione regolatoria all’imputazione penale richiede di verificare se l’obbligo fosse applicabile al soggetto e al tempo del fatto, se corrispondesse a una misura contemplata dal reato e se l’omissione abbia prodotto il pericolo tipico.

È necessaria, infine, una verifica intertemporale dell’AI Act. Le sue disposizioni non sono divenute tutte applicabili nello stesso momento; inoltre il quadro regolatorio può essere modificato. Per una contestazione relativa a un fatto determinato occorre ricostruire il testo europeo e la disciplina transitoria vigenti in quella data. Sarebbe scorretto fondare retroattivamente una violazione penale su un requisito europeo non ancora applicabile, così come sarebbe scorretto presumere che l’entrata in vigore dell’art. 437-bis anticipi da sola tutte le scadenze regolatorie europee.

5. Art. 612-quater c.p. e deepfake

Testo e bene protetto

L’art. 612-quater c.p. dispone:

«Chiunque cagiona un danno ingiusto ad una persona, cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante l’impiego di sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità, è punito con la reclusione da uno a cinque anni.

Il delitto è punibile a querela della persona offesa. Si procede tuttavia d’ufficio se il fatto è connesso con altro delitto per il quale si deve procedere d’ufficio ovvero se è commesso nei confronti di persona incapace, per età o per infermità, o di una pubblica autorità a causa delle funzioni esercitate».

La collocazione tra i delitti contro la libertà morale suggerisce la tutela dell’autodeterminazione della persona rispetto alla circolazione ingannevole della sua rappresentazione. Identità, immagine, voce, riservatezza e reputazione possono essere interessate in modo diverso a seconda del caso; sarebbe riduttivo identificare sempre e soltanto nella reputazione il bene leso. La dottrina consultata valorizza, in particolare, l’autodeterminazione e il libero svolgimento della personalità, anche alla luce dei lavori preparatori richiamati nel commento.

Oggetto e condotta

Il testo parla di immagini, video o voci. Una voce imitata mediante IA può dunque rilevare anche senza video; un’immagine statica può rilevare anche senza audio. È invece necessario dimostrare che il contenuto sia stato falsificato o alterato mediante l’impiego di un sistema di IA, non semplicemente editato con uno strumento digitale tradizionale. La definizione europea di deepfake può aiutare a leggere il fenomeno, ma non sostituisce gli elementi autonomamente formulati dall’art. 612-quater.

La condotta tipica non è la mera creazione del contenuto: la disposizione richiede che esso sia ceduto, pubblicato o altrimenti diffuso. «Cessione» può rendere rilevante anche una comunicazione circoscritta a un destinatario, ove ricorrano gli altri elementi; «pubblicazione» copre la messa a disposizione pubblica; «altrimenti diffusione» esige una valutazione delle modalità concrete di circolazione. La sola conservazione privata del file resta fuori da questa descrizione, ferma la possibile rilevanza di altri illeciti autonomi.

La mancanza di consenso è riferita alla persona interessata dalla diffusione. Un consenso a registrare una voce o a pubblicare un video autentico non vale, per ciò solo, come consenso alla diffusione di una versione falsificata. Occorrerà verificare oggetto, contesto, destinatari ed eventuali limiti dell’autorizzazione: non basta un’informativa aziendale genericamente favorevole all’impiego dell’IA. La norma richiede inoltre che il contenuto sia idoneo a indurre in inganno sulla sua genuinità. L’accertamento riguarda il contenuto concretamente diffuso, compresi contesto, eventuale etichettatura e pubblico raggiunto; non è una proprietà automatica di qualunque file prodotto dall’IA.

Il «danno ingiusto» come evento da accertare

Il punto qualificante è la formula «cagiona un danno ingiusto ad una persona». A differenza di un reato che si esaurisce nella diffusione vietata, la disposizione esige un evento dannoso e il rapporto causale con cessione, pubblicazione o diffusione. La qualificazione come delitto di danno è condivisa dai commenti specifici reperiti; non risulta invece, nella ricerca effettuata, una definizione giurisprudenziale già consolidata del danno ingiusto dell’art. 612-quater.

Una lettura prudente comprende fra i possibili pregiudizi, se concretamente allegati e provati, lesioni alla sfera personale, professionale, relazionale o patrimoniale. Per esempio, l’attribuzione artificiale a un dirigente di dichiarazioni mai rese potrebbe compromettere rapporti professionali; un falso contenuto sessuale può incidere su dignità e relazioni; una voce contraffatta può produrre conseguenze economiche. Nessuna di queste conseguenze si presume per il solo fatto che il contenuto sia falso. Resta discussa la soglia di esteriorizzazione del pregiudizio e se, in talune circostanze, un danno non patrimoniale possa risultare dalla concreta lesione della dimensione identitaria senza prova di ulteriori ricadute. Sono alternative interpretative, non soluzioni definitive già affermate dalla giurisprudenza sulla nuova norma.

L’aggettivo «ingiusto» richiede inoltre di distinguere il pregiudizio giuridicamente rilevante dal semplice disappunto per una rappresentazione sgradita. Il richiamo alla medesima espressione nell’art. 2043 c.c. può offrire un riferimento lessicale, ma non importa automaticamente nel processo penale categorie risarcitorie, presunzioni o standard di prova propri dell’azione civile. L’esistenza dell’evento e la sua riferibilità alla condotta devono essere valutate secondo la struttura dell’incriminazione.

Consumazione, tentativo, dolo e procedibilità

La consumazione va riferita al momento in cui la condotta diffusiva abbia prodotto il danno ingiusto richiesto. Una pubblicazione immediatamente rimossa o un invio non ricevuto non vanno qualificati in modo automatico: occorre verificare le modalità della condotta, l’eventuale perfezionamento della comunicazione e l’evento. Il tentativo può essere ipotizzato, nei limiti delle regole generali, quando siano compiuti atti idonei e univoci diretti alla commissione del delitto ma l’evento non si verifichi; la sua configurazione rispetto a specifiche forme di diffusione richiederà una valutazione rigorosa, oggi non assistita da un orientamento specifico verificato sull’articolo.

Il delitto è configurato a titolo di dolo, non essendo prevista una forma colposa. Sono quindi centrali conoscenza della falsificazione o alterazione mediante IA, assenza di consenso, carattere ingannevole del contenuto e rappresentazione degli elementi costitutivi, compreso il danno secondo i principi generali. È un problema interpretativo distinto stabilire come accertare il dolo nel caso di chi inoltra un file già ricevuto senza averlo creato e sostiene di crederlo autentico.

La regola è la querela della persona offesa. Si procede d’ufficio se il fatto è connesso con altro delitto procedibile d’ufficio, oppure è commesso contro persona incapace per età o infermità, o contro una pubblica autorità a causa delle funzioni esercitate. Non va importato dall’art. 612-ter il suo specifico regime di termini e remissione: la differenza tra le due disposizioni deve essere verificata direttamente, caso per caso, alla luce delle norme generali applicabili alla querela.

6. Deepfake: casi inclusi e casi esclusi

Gli esempi che seguono sono ipotesi interpretative, non vicende decise da giudici ai sensi dell’art. 612-quater. In ciascuna occorre accertare sistema di IA, falsificazione o alterazione, idoneità all’inganno, mancanza di consenso, diffusione e danno ingiusto: l’etichetta colloquiale «deepfake» non sostituisce questa verifica.

Un deepfake pornografico che rappresenti falsamente una persona e sia diffuso senza consenso può integrare il 612-quater se cagiona il danno tipico. La natura sessuale non elimina la necessità di confrontarlo con l’art. 612-ter c.p., che richiede presupposti diversi e non si applica indistintamente a ogni immagine sintetica. La sola fabbricazione del file, prima di una condotta di cessione, pubblicazione o diffusione, non perfeziona di per sé il 612-quater.

Una falsa dichiarazione audio attribuita mediante sintesi vocale a un amministratore può rientrare nella norma anche in assenza di una fotografia o di un filmato, se la voce alterata è concretamente ingannevole e la circolazione provoca un danno ingiusto alla persona. Se viene utilizzata anche per indurre un dipendente a disporre un bonifico, occorrerà esaminare separatamente gli elementi della truffa e l’eventuale relazione tra reati. Un video che attribuisca falsamente all’amministratore dichiarazioni su risultati economici può, secondo contenuto, destinatari ed effetti, sollevare ulteriori questioni societarie o di mercato; la loro configurabilità non discende automaticamente dall’impiego dell’IA.

L’imitazione vocale destinata a una dimostrazione privata, mai ceduta né diffusa, resta fuori dalla condotta diffusiva del 612-quater. Una parodia o satira chiaramente riconoscibile può mancare dell’idoneità a indurre in inganno; la qualificazione artistica non è, però, un’esenzione penale generale per contenuti costruiti in modo da apparire autentici e lesivi. Analoga cautela vale per i contenuti manifestamente artificiali: una dichiarazione evidente e percepibile dell’origine sintetica è rilevante per l’idoneità all’inganno, ma occorre vedere se risulti davvero associata al file nelle sue successive circolazioni.

Le alterazioni minime non sono escluse soltanto perché quantitativamente ridotte: cambiare poche parole può mutare radicalmente il significato di una dichiarazione. Viceversa, una manipolazione estesa ma palesemente assurda può non ingannare sulla genuinità. Anche un contenuto interamente generato dall’IA può essere preso in considerazione se attribuisce in modo credibile immagine, video o voce a una persona; resta da verificare, senza ampliare il testo per analogia, come la formula «falsificati o alterati» operi quando non esiste un file autentico di partenza. Un contenuto manipolato soltanto in parte può comunque essere rilevante, purché quella parte sostenga gli elementi richiesti.

La diffusione interna all’azienda non gode di un’esenzione espressa: una cessione a un collega, una pubblicazione sulla intranet o la circolazione in una chat aziendale vanno valutate nelle rispettive modalità e conseguenze. La pubblicazione sui social network facilita normalmente la prova della circolazione, non quella automatica del danno ingiusto. L’inoltro tramite messaggistica può assumere rilievo anche senza un post pubblico; per chi inoltra è però indispensabile accertare il suo elemento soggettivo, non soltanto quello dell’autore originario del file.

7. Rapporti con altri reati

L’art. 612-ter c.p. tutela contro la diffusione illecita di immagini o video sessualmente espliciti destinati a rimanere privati, secondo le condizioni differenziate dei suoi commi. L’art. 612-quater c.p. non richiede contenuto sessuale né una pregressa destinazione privata, ma esige impiego dell’IA, idoneità all’inganno e danno ingiusto. Un deepfake sessuale non determina quindi, da solo, né l’applicazione esclusiva dell’una disposizione né il concorso necessario di entrambe. Occorre comparare i rispettivi elementi, il fatto storico e l’eventuale clausola di riserva prevista nel 612-ter.

La diffamazione può essere in discussione quando il contenuto artificiale comunica a più persone un’attribuzione offensiva della reputazione. Il 612-quater non esige necessariamente la comunicazione a più persone nei medesimi termini né coincide, per oggetto, con la diffamazione. L’eventuale concorso formale, se un’unica diffusione integra entrambe le fattispecie, richiede di verificare che nessuna disposizione assorba l’altra secondo i criteri applicabili; una campagna costituita da atti distinti può invece richiedere l’esame di un possibile concorso materiale. La diversità astratta dei beni protetti, da sola, non sostituisce l’analisi strutturale delle fattispecie.

La sostituzione di persona può essere rilevante quando l’agente assume illegittimamente un’identità per procurare a sé o ad altri un vantaggio o arrecare un danno, nei limiti del relativo precetto. La truffa richiede i suoi autonomi elementi di artifici o raggiri, errore, disposizione patrimoniale e profitto ingiusto con danno; una voce falsa può esserne lo strumento senza che ogni deepfake sia per questo una truffa. Estorsione e minaccia richiedono, rispettivamente, i propri presupposti di costrizione e minaccia di un male ingiusto: la promessa di pubblicare un file può assumere rilievo anche quando il file non sia ancora stato diffuso, ma non integra per ciò solo il 612-quater consumato.

Il trattamento illecito di dati personali esige la verifica della specifica norma incriminatrice, dei suoi requisiti e del rapporto con il trattamento effettivamente compiuto: una violazione del GDPR non è automaticamente un delitto. Ulteriori reati contro patrimonio, sistemi informatici o mercato possono emergere a seconda che il contenuto sintetico sia usato per sottrarre credenziali, acquisire somme, manipolare informazioni o alterare un sistema. Il metodo resta costante: prima si ricostruiscono fatti ed elementi di ogni incriminazione; poi si distingue tra concorso apparente, concorso formale di un solo fatto e concorso materiale di condotte autonome. Il possibile utilizzo di un reato diverso come presupposto 231 richiede, a sua volta, una specifica previsione nel catalogo, non la sola presenza dell’IA nella condotta.

8. Il nuovo art. 25-vicies D.Lgs. 231/2001

Testo vigente e portata del rinvio

L’art. 25-vicies D.Lgs. 231/2001, introdotto dall’art. 15 D.Lgs. n. 160/2026, dispone:

«1. In relazione al delitto di cui all’articolo 437-bis del codice penale, si applica all’ente la sanzione pecuniaria da seicento a mille quote.

2. In relazione al delitto di cui all’articolo 612-quater del codice penale, si applica all’ente la sanzione pecuniaria da duecento a settecento quote.

3. Nei casi previsti dai commi 1 e 2 si applicano all’ente le sanzioni interdittive previste dall’articolo 9, comma 2, lettere b), c), d) ed e)».

La rubrica «Reati commessi con l’uso di sistemi di intelligenza artificiale» non istituisce una categoria aperta di tutti i delitti realizzati mediante IA. Il contenuto dell’articolo richiama due precisi reati-presupposto. Anche qualora un deepfake realizzi un altro delitto, la responsabilità 231 per quel diverso delitto richiede di verificare la sua autonoma inclusione nel catalogo e le condizioni della relativa disposizione. È una conseguenza del principio di legalità e tassatività del sistema 231, non un’eccezione favorevole alle imprese digitali.

Il richiamo all’intero art. 437-bis non distingue espressamente fra ipotesi dolose e fattispecie del terzo comma commessa per colpa grave. Sul piano letterale, pertanto, anche quest’ultima può costituire reato-presupposto, quando siano integrati tutti i suoi elementi. Non ne deriva però una responsabilità dell’ente per «colpa grave dell’algoritmo»: devono restare identificabili un fatto di reato imputabile secondo le regole penali a una persona fisica e i distinti criteri 231 riferiti all’ente.

Quote pecuniarie e importi teorici

Il sistema sanzionatorio 231 calcola la sanzione pecuniaria moltiplicando il numero di quote applicate per il valore della singola quota. L’art. 25-vicies fissa il primo elemento nelle fasce 600–1.000 per l’art. 437-bis e 200–700 per l’art. 612-quater; la disciplina generale dell’art. 10 determina l’intervallo del valore unitario, mentre gli ulteriori criteri di commisurazione e le eventuali riduzioni vanno esaminati separatamente. Utilizzando, per un’illustrazione puramente aritmetica, €258 e €1.549 come estremi unitari arrotondati, risultano:

Si tratta di estremi illustrativi, non della sanzione prevedibile in una specifica vicenda. La quantificazione giudiziale dipende dai criteri legali applicabili, dal valore effettivamente attribuito alla quota, dalle possibili riduzioni e dalle caratteristiche del fatto; confisca, misure cautelari e conseguenze reputazionali appartengono a piani ulteriori. Prima di utilizzare questi numeri in un parere o in una pubblicazione definitiva, occorre verificare sul testo ufficiale vigente dell’art. 10 il valore unitario puntuale, non integralmente restituito dalle fonti consultate per questo contributo.

Interdizioni: previsione non significa automatismo

Le lettere b), c), d) ed e) dell’art. 9, comma 2, richiamate dal nuovo art. 25-vicies, concernono rispettivamente sospensione o revoca delle autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito; divieto di contrattare con la pubblica amministrazione, salvo le eccezioni previste; esclusione da agevolazioni, finanziamenti, contributi o sussidi ed eventuale revoca; divieto di pubblicizzare beni o servizi. Non è richiamata, invece, la lettera a) sull’interdizione dall’esercizio dell’attività.

La loro previsione espressa non equivale a necessaria applicazione in ogni condanna. L’art. 13 D.Lgs. 231/2001 richiede le proprie ulteriori condizioni, relative, in sintesi, a profitto di rilevante entità con le specificazioni previste per apicali e sottoposti, oppure a reiterazione; contiene inoltre regole sulla durata e un’esclusione per determinati casi. Occorre poi scegliere l’interdizione secondo la disciplina generale e il rapporto funzionale con l’illecito. Per un’impresa che opera con autorizzazioni pubbliche, finanziamenti o pubblicità commerciale, il rischio interdittivo richiede attenzione, ma non può essere rappresentato come effetto automatico del solo reato individuale.

9. Interesse o vantaggio dell’ente

Due criteri da verificare sulla condotta concreta

L’art. 5 D.Lgs. 231/2001 richiede che il reato sia commesso nell’interesse o a vantaggio dell’ente da un soggetto apicale o da persona sottoposta alla direzione o vigilanza di un apicale. Esclude la responsabilità se l’agente ha operato nell’interesse esclusivo proprio o di terzi. La commissione del reato da parte di un dipendente, dunque, non basta; nemmeno basta che l’ente tragga una generica utilità dall’impiego dell’IA.

Nel caso dell’art. 437-bis, un’ipotesi di interesse potrebbe emergere dalla decisione di omettere consapevolmente un presidio necessario allo scopo di anticipare il rilascio di un prodotto o ridurre i costi di sviluppo. Un vantaggio potrebbe consistere in una riduzione di spesa effettivamente ottenuta, nella maggiore rapidità della commercializzazione o nell’impiego di minori risorse per la sorveglianza. Sono esempi da verificare, non presunzioni. Bisogna provare la relazione tra specifica condotta che integra il reato e utilità aziendale: il fatto che una misura costi denaro non rende ogni sua omissione un’azione compiuta a vantaggio dell’ente.

La giurisprudenza della Cassazione formatasi in materia di infortuni sul lavoro e responsabilità 231 attribuisce rilievo, alle condizioni accertate nei singoli casi, al risparmio di spesa e all’aumento di produttività derivanti dall’omissione di cautele. Si tratta di precedenti su fattispecie differenti, utilizzabili soltanto quale possibile criterio interpretativo per l’IA. In particolare, Corte di cassazione, sezione IV penale, 17 aprile 2019, n. 44399, ha esaminato l’interesse dell’ente connesso alla mancata predisposizione di sistemi di sicurezza; la trasferibilità del ragionamento richiede di dimostrare, nel nuovo contesto, pericolo tipico, condotta penalmente rilevante e concreta utilità dell’ente.

Nell’art. 612-quater, l’interesse aziendale può essere ipotizzato in una campagna commerciale che usi una falsa testimonianza vocale di un cliente, un video artificiale attribuito a un concorrente oppure un’apparente dichiarazione di un amministratore destinata a sostenere una promozione. Il vantaggio potrebbe essere l’acquisizione di clientela o il risparmio sui costi di una campagna lecita. Non basta, però, che il file compaia sui canali aziendali: restano necessari assenza di consenso, idoneità all’inganno, danno ingiusto e collegamento con il fatto dell’autore qualificato. Una condotta motivata esclusivamente da vendetta personale, estranea agli obiettivi dell’impresa, può porre il diverso problema dell’interesse esclusivo dell’agente.

Applicazioni settoriali senza automatismi

Nelle risorse umane, sistemi destinati a incidere su selezione, assegnazione o valutazione richiedono preliminarmente una corretta classificazione europea. Un’organizzazione che ometta sorveglianza umana non integra per ciò solo l’art. 437-bis: deve essere dimostrato anche uno dei pericoli per i beni indicati dal reato. Un falso audio attribuito a un candidato e usato in una comunicazione interna, invece, può richiedere l’analisi dell’art. 612-quater se produce un concreto danno ingiusto alla persona.

Per banche e assicurazioni, il risparmio sui controlli o la maggiore velocità di rilascio possono assumere rilievo nell’esame dell’interesse o vantaggio, ma l’alta rischiosità regolatoria non prova il pericolo per vita, incolumità o sicurezza dello Stato. Nei sistemi sanitari e nelle infrastrutture critiche, il collegamento fra omissione di presidi e pericolo tipico può apparire più immediato, ma richiede ugualmente verifica tecnica: occorre capire quale decisione del sistema avrebbe potuto incidere concretamente sulla persona o sull’infrastruttura, quale presidio dovuto mancava e chi aveva il potere di attuarlo.

Anche le campagne reputazionali e comparative non sono illecite perché impiegano contenuti sintetici. La distinzione è fra produzione lecita, eventualmente soggetta a obblighi di trasparenza, e diffusione non consensuale di rappresentazioni personali ingannevoli che cagionano danno ingiusto. L’analisi 231 aggiunge un’ulteriore domanda: la condotta della persona fisica era inserita, anche indirettamente, in una strategia utile all’ente oppure era esclusivamente privata? Senza questa seconda verifica, l’uso aziendale di uno strumento generativo rischia di essere indebitamente trattato come criterio autonomo di responsabilità.

10. Colpa di organizzazione

Il sistema 231 distingue l’autore apicale dal soggetto sottoposto all’altrui direzione o vigilanza. Gli artt. 6 e 7 D.Lgs. 231/2001 regolano, in modo differenziato, la rilevanza del Modello di organizzazione, gestione e controllo, della sua efficace attuazione, delle attività di controllo e del ruolo dell’Organismo di Vigilanza. Per i reati legati all’IA, il Modello deve tradurre rischi tecnologici e decisionali in attività sensibili, responsabilità, protocolli, controlli, formazione e flussi informativi pertinenti ai due reati-presupposto, non limitarsi ad aggiungere una generica menzione dell’AI Act.

La colpa di organizzazione non coincide con la colpa grave richiesta, nell’ipotesi del terzo comma dell’art. 437-bis, alla persona fisica. La prima riguarda l’assetto dell’ente e il modo in cui è stato presidiato il rischio-reato; la seconda riguarda la condotta individuale tipica. La Cassazione, in pronunce concernenti reati-presupposto diversi, ha affermato che assenza, inidoneità o inefficace attuazione del Modello non sono da sole sufficienti a dimostrare la colpa di organizzazione, che deve essere accertata distintamente. Sono pertinenti, come criteri metodologici e non come precedenti sull’IA, Corte di cassazione, sezione IV penale, 15 febbraio 2022, n. 18413, Corte di cassazione, sezione IV penale, 28 marzo 2023, n. 21704, e Corte di cassazione, sezione III penale, 24 gennaio 2024, n. 11390.

La distinzione impone anche di non chiamare «Modello 231» qualsiasi insieme di procedure tecniche. Una società può possedere valutazioni dei rischi, manuali per sviluppatori, un sistema di cybersecurity e regole privacy senza aver esaminato chi potrebbe commettere il 437-bis o il 612-quater nell’interesse aziendale, come potrebbe farlo e quali presidi interrompono quella sequenza. Per converso, un Modello formalmente aggiornato che non venga comunicato ai team, verificato sugli accessi o utilizzato nella decisione di rilascio può non essere effettivamente attuato. È questa la ragione organizzativa dell’aggiornamento, non un inesistente obbligo generalizzato di creare un Modello 231 per ogni impresa che usa un chatbot.

I protocolli dovrebbero individuare criteri di classificazione del sistema, approvazione delle modifiche, gestione delle misure tecniche, supervisione e verifica dei contenuti destinati alla diffusione. Deleghe e procure devono essere coerenti con i poteri reali; il sistema disciplinare deve riguardare violazioni verificabili, come disabilitare controlli, aggirare l’approvazione o diffondere senza autorizzazione un contenuto sintetico lesivo. Formazione, whistleblowing e audit hanno funzioni diverse: la prima rende conoscibili regole e limiti, il secondo può far emergere violazioni segnalabili nei limiti della disciplina applicabile, il terzo verifica l’efficacia dei presidi. Nessuno di questi strumenti, da solo, sostituisce l’accertamento del fatto di reato e del collegamento con l’ente.

11. Il Modello 231: roadmap di aggiornamento

L’aggiornamento efficace procede dal sistema concreto al rischio-reato, non dall’etichetta «IA» a una parte speciale standardizzata. Una roadmap può essere articolata nelle seguenti venti verifiche, da dimensionare per struttura, prodotti e processi dell’ente; si tratta di indicazioni operative, non di venti adempimenti tutti autonomamente imposti dall’art. 25-vicies.

1. Censire i sistemi di IA, includendo quelli acquistati, sviluppati internamente, integrati in prodotti e adottati informalmente nelle funzioni aziendali.
2. Associare ciascun sistema al processo in cui opera: sviluppo, immissione sul mercato, impiego professionale, HR, salute, comunicazione o altri processi.
3. Identificare il ruolo dell’ente per ciascun impiego: fornitore, deployer, importatore, distributore o produttore, evitando di assegnare una sola qualifica all’intero gruppo societario.
4. Classificare i sistemi ad alto rischio con motivazione riferita all’art. 6 e agli allegati pertinenti dell’AI Act, registrando anche i casi dubbi.
5. Svolgere un AI risk assessment che distingua rischio regolatorio, rischio di danno, rischio di pericolo rilevante per il 437-bis e rischio di diffusione illecita.
6. Mappare le attività sensibili 231, individuando decisioni, persone fisiche, incentivi economici e possibili modalità dei due reati.
7. Confrontare mappa e Modello esistente, identificando lacune nelle parti speciali, nei poteri, nei controlli e nei flussi.
8. Aggiornare parte generale e parti speciali solo dove necessario, chiarendo il coordinamento con le altre famiglie di reati già mappate.
9. Adottare protocolli sull’uso dell’IA, differenziati per sviluppo di sistemi ad alto rischio, loro impiego e pubblicazione di contenuti sintetici.
10. Definire la human oversight: persone incaricate, formazione, strumenti disponibili, soglie di escalation e facoltà di sospensione.
11. Controllare gli accessi, separando, dove opportuno, sviluppo, modifica dei parametri, approvazione del rilascio e autorizzazione alla diffusione.
12. Impostare logging e tracciabilità in misura adeguata, così da ricostruire versioni, modifiche, decisioni umane e incidenti.
13. Governare i cambiamenti: ogni modifica sostanziale o nuovo impiego richiede una valutazione di classificazione, sicurezza e rischio-reato.
14. Stabilire un canale di incident reporting, con criteri per segnalare anomalie, tentativi di alterazione, disabilitazione di presidi e contenuti falsificati.
15. Gestire i fornitori, chiarendo contrattualmente istruzioni, aggiornamenti, responsabilità operative, documenti e accesso alle evidenze necessarie.
16. Svolgere due diligence sui provider, proporzionata all’impiego previsto e alla possibilità effettiva dell’ente di conoscere il sistema.
17. Formare dipendenti e dirigenti su scenari distinti: rischio per la sicurezza, alterazione del sistema, contenuti sintetici e gestione di segnalazioni.
18. Aggiornare i flussi verso l’OdV, affinché riceva eventi e indicatori pertinenti al rischio-reato, non ogni normale log operativo.
19. Coordinare DPO, CISO, legal e compliance, mantenendo chiari i rispettivi poteri e senza trasferire all’OdV la gestione dei sistemi.
20. Conservare la documentazione sulle decisioni: classificazione, rischi, misure, eccezioni approvate, audit, incidenti e azioni correttive.

La priorità temporale dipende dall’esposizione reale. Un provider di sistemi ad alto rischio dovrebbe partire dalle decisioni su sicurezza e rilascio; un’impresa che li utilizza professionalmente dalla sorveglianza e dalle modalità operative; un’impresa che adopera soltanto IA generativa ordinaria dalla pubblicazione esterna e dall’eventuale impersonificazione. Un inventario non aggiornato rende inaffidabili le fasi successive, mentre una parte speciale scritta prima di conoscere sistemi e ruoli rischia di restare meramente nominale.

12. Il ruolo dell’Organismo di Vigilanza

L’OdV deve vigilare sul funzionamento e sull’osservanza del Modello, non progettare il sistema di IA, scegliere la configurazione di cybersecurity o autorizzare in prima persona una campagna pubblicitaria. Un modello di governance che gli attribuisse poteri di gestione quotidiana renderebbe meno chiara la distinzione tra controllore e responsabili operativi. L’OdV dovrebbe poter accedere, invece, alle informazioni necessarie a comprendere se il rischio dei nuovi reati-presupposto sia stato mappato e se i protocolli siano realmente seguiti.

I flussi informativi possono riguardare l’introduzione di nuovi sistemi ad alto rischio, riclassificazioni, decisioni di rilascio accompagnate da eccezioni rilevanti, disattivazione dei controlli, incidenti suscettibili di generare i pericoli del 437-bis, diffusione non autorizzata di contenuti sintetici e risultanze significative degli audit. Non è necessario inviare indistintamente ogni output o ogni anomalia tecnica: occorrono soglie di rilevanza, responsabilità di prima analisi e tempi compatibili con la gravità dell’evento. Se emerge un pericolo attuale, la gestione immediata compete alle funzioni dotate dei relativi poteri; l’OdV riceve l’informazione per le valutazioni di propria competenza.

Le verifiche periodiche possono campionare classificazioni, registri delle modifiche, evidenze di human oversight, approvazioni dei contenuti e gestione delle segnalazioni. Le competenze specialistiche sono utili, ma ciò non significa che ogni componente dell’OdV debba essere ingegnere informatico: significa che l’organismo deve comprendere il rischio che vigila e, quando necessario, poter ricorrere a supporto tecnico indipendente. La collaborazione con IT, cybersecurity, legal e privacy non attenua la necessità di mantenere autonomo il giudizio sull’adeguatezza e sull’attuazione del Modello.

13. AI governance e Modello 231

L’AI governance e il Modello 231 si sovrappongono in alcuni strumenti — inventario, analisi dei rischi, ruoli, formazione, controlli e documentazione — ma perseguono finalità diverse. La prima organizza conformità e affidabilità dell’intero ciclo di vita; il secondo presidia specifici rischi di reato-presupposto e i criteri di responsabilità dell’ente. È possibile riutilizzare le stesse evidenze senza confondere i giudizi: una valutazione tecnica può essere utile al Modello, ma deve essere riletta rispetto a condotta tipica, possibile autore e interesse o vantaggio.

Il GDPR rileva quando i sistemi trattano dati personali, in particolare per liceità, sicurezza, organizzazione dei ruoli e, se necessari, processi di valutazione dei rischi. La cybersecurity presidia accessi, modifiche, incidenti e resilienza; la disciplina NIS2, quando applicabile all’ente e all’attività, aggiunge obblighi propri che non coincidono con quelli penali dell’art. 437-bis. Il whistleblowing può intercettare segnalazioni su alterazioni o aggiramento di protocolli, nel rispetto del suo ambito di applicazione e delle garanzie per segnalanti e persone coinvolte. Nessuno di questi regimi deve essere rappresentato come presupposto sempre necessario dell’altro.

La scelta organizzativa più solida è una matrice comune di sistemi, processi, ruoli e controlli, con valutazioni giuridiche separate. Il medesimo registro delle modifiche può essere rilevante per AI Act, sicurezza informatica e 231; cambiano però la domanda da porre e la soglia dell’illecito. Il coordinamento deve rispettare anche la separazione delle funzioni: il DPO non sostituisce il CISO, il CISO non determina la procedibilità penale e l’OdV non diventa proprietario operativo dell’inventario IA.

14. Querela e responsabilità dell’ente

Il rapporto tra art. 612-quater c.p., normalmente procedibile a querela, e responsabilità 231 è più complesso di quanto lasci intendere il solo principio di autonomia dell’illecito dell’ente. L’art. 8 D.Lgs. 231/2001 disciplina l’autonomia in determinate situazioni relative all’autore e al reato; l’art. 37 pone però una regola specifica per la mancanza di una condizione di procedibilità dell’azione penale nei confronti dell’autore. Di conseguenza, non è corretto sostenere, sulla sola base dell’art. 8, che l’ente sia sempre perseguibile quando manca la querela necessaria per il reato-presupposto.

La lettura sistematica più prudente è distinguere almeno tre situazioni. Se la querela non viene proposta e non ricorre un’ipotesi di procedibilità d’ufficio, il limite dell’art. 37 va esaminato come ostacolo all’accertamento dell’illecito 231. Se la querela è validamente proposta, il suo successivo venir meno richiede di stabilire quale effetto produca sul procedimento della persona fisica e su quello dell’ente, tenendo distinti il momento in cui è venuta meno la condizione e la disciplina delle cause estintive. Se il 612-quater è procedibile d’ufficio per una delle ipotesi espresse, il problema della mancanza della querela non si pone negli stessi termini. Non risulta dalla ricerca un orientamento specifico già consolidato sul nuovo art. 25-vicies che risolva ogni profilo della remissione di querela.

Una possibile interpretazione valorizza l’autonomia della responsabilità dell’ente una volta che la condizione di procedibilità abbia consentito l’inizio dell’azione; un’altra insiste sugli effetti che le regole processuali possono attribuire al successivo venir meno della querela. Presentare una delle due come soluzione definitivamente acquisita per l’art. 612-quater sarebbe prematuro. In pratica, chi valuta un’esposizione 231 derivante da deepfake deve documentare persona offesa, regime di procedibilità, esistenza e validità della querela, connessione con eventuale delitto d’ufficio e fase del procedimento. Soprattutto, l’autonomia dell’ente non supplisce alla mancata dimostrazione di un reato-presupposto e dei criteri di imputazione dell’art. 5.

15. Profili intertemporali

Le tre date da tenere distinte sono 10 ottobre 2025 per l’art. 612-quater c.p. e 30 settembre 2026 sia per l’art. 437-bis c.p. sia per l’art. 25-vicies D.Lgs. 231/2001. Una diffusione consumata prima del 10 ottobre 2025 non può essere punita retroattivamente ai sensi del 612-quater. Una condotta integrante quel delitto tra il 10 ottobre 2025 e il 29 settembre 2026 può assumere rilevanza per la persona fisica, ma non può diventare retroattivamente un illecito dell’ente fondato sul nuovo art. 25-vicies. Lo stesso principio esclude l’applicazione dell’art. 437-bis a fatti già esauriti prima del 30 settembre 2026.

Per il tempus commissi delicti non basta la data in cui il file è stato creato o il sistema è stato installato. Nel 612-quater bisogna individuare condotta diffusiva ed evento dannoso; nel 437-bis la condotta omissiva o alterativa e il pericolo derivato. Una nuova condivisione successiva all’entrata in vigore va distinta dalla sola permanenza online di un file pubblicato prima; una misura di sicurezza omessa prima del 30 settembre ma tuttora esigibile dopo quella data pone un diverso problema rispetto a un’omissione già esaurita. Non è possibile risolvere automaticamente tali casi qualificando i due delitti come reati permanenti: struttura della condotta, evento e concreta possibilità di far cessare l’omissione devono essere ricostruiti separatamente.

La cautela è particolarmente importante per i log e per le decisioni di rilascio: data di creazione, data di approvazione, data di messa a disposizione, interventi successivi, diffusione e comparsa del pericolo possono non coincidere. Sul versante 231, la decisione organizzativa antecedente all’introduzione del reato-presupposto può contribuire a spiegare il contesto di un fatto successivo; non può, da sola, trasformare un reato già consumato prima del 30 settembre 2026 in un illecito amministrativo retroattivamente punibile.

16. Questioni interpretative aperte

Le questioni seguenti sono formulate distinguendo dato normativo, problema, letture reperite o possibili e grado di certezza. Quando non è indicato un orientamento dottrinale verificato su un punto specifico, la proposta è un’ipotesi dell’autore, non la ricostruzione di una scuola già formata.

La ricerca effettuata non ha individuato giurisprudenza specifica sull’art. 437-bis o sull’art. 25-vicies. Non è quindi possibile indicare un orientamento «prevalente» della Cassazione su tali disposizioni. Sul danno ingiusto del 612-quater sono stati reperiti commenti che sottolineano la natura di delitto di danno, ma non una pronuncia specifica verificata che ne definisca compiutamente il contenuto.

17. Checklist per imprese e funzioni aziendali

Le verifiche che seguono sono priorità organizzative da adattare al caso concreto, non un elenco di obblighi penalmente sanzionati in quanto tali. Il punto di arrivo è sempre la prevenzione dei fatti tipici che possono essere commessi nell’interesse o a vantaggio dell’ente.

• Impresa che sviluppa sistemi IA: documentare classificazione, misure di sicurezza e prove pertinenti; stabilire chi autorizza addestramento, modifiche e immissione sul mercato; registrare decisioni su rischi non risolti.
• Impresa che utilizza sistemi ad alto rischio: verificare istruzioni, incarichi di sorveglianza umana, possibilità reale di intervento, incidenti ed escalation; non assumere che la conformità dichiarata dal provider sostituisca i controlli dell’utilizzatore.
• Impresa che usa IA generativa ordinaria: presidiare soprattutto creazione e diffusione di immagini, video e voci riferibili a persone; prevedere verifica di autenticità, consenso e approvazione prima della pubblicazione.
• Amministratori: richiedere una mappa dei sistemi e dei rischi, assegnare risorse e poteri effettivi e conoscere le decisioni di rilascio o impiego che presentano criticità significative.
• Compliance officer: trasformare classificazioni e incidenti in una mappatura dei due reati-presupposto; coordinare protocolli e flussi senza assumere automaticamente il ruolo di garante tecnico di ogni sistema.
• Organismo di Vigilanza: verificare aggiornamento ed effettiva attuazione del Modello, ricevere segnalazioni selezionate e svolgere controlli proporzionati, senza gestire il software o approvare le operazioni.
• Funzione IT e cybersecurity: controllare accessi, modifiche, integrità, registrazioni e risposta agli incidenti; preservare le evidenze che consentono di ricostruire i fatti.
• DPO: verificare i profili di protezione dei dati personali e coordinarsi sulle evidenze utili; non confondere l’incarico privacy con una responsabilità penale generale sui rischi dell’IA.
• HR: verificare classificazione e utilizzo dei sistemi impiegati nelle decisioni sulle persone; presidiare comunicazioni interne che utilizzino contenuti sintetici attribuiti a candidati o dipendenti.
• Marketing e comunicazione: distinguere contenuti dichiaratamente creativi dalle false attribuzioni personali; documentare consenso, origine del materiale, controlli di pubblicazione e gestione delle richieste di rimozione.

Conclusioni

L’art. 25-vicies D.Lgs. 231/2001 rende i rischi penali connessi all’IA un tema esplicito di diritto penale d’impresa. L’aggiornamento del Modello non dovrebbe tuttavia essere ridotto all’aggiunta di due numeri di articolo: occorre conoscere quali sistemi esistono, chi può decidere sulle loro misure di sicurezza, chi sorveglia gli impieghi ad alto rischio e chi autorizza la circolazione di contenuti sintetici. Solo su questa base è possibile valutare la pertinenza dei controlli 231.

Resta ferma la sequenza logica che impedisce gli automatismi: violazione regolatoria → verifica della fattispecie penale → verifica del reato-presupposto → verifica dei criteri di imputazione dell’ente. Ciascuna freccia rappresenta un accertamento distinto. In particolare, un’infrazione dell’AI Act non prova di per sé il pericolo dell’art. 437-bis; la produzione di un deepfake non prova il danno ingiusto dell’art. 612-quater; e la commissione di uno dei due delitti non prova automaticamente interesse o vantaggio né colpa di organizzazione dell’ente.

FAQ

Fonti normative e istituzionali

Sono stati verificati, nei limiti dei testi restituiti dalla ricerca, il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, in particolare le definizioni e la disciplina dei sistemi ad alto rischio; la L. 23 settembre 2025, n. 132, con specifico riferimento all’introduzione dell’art. 612-quater e alle deleghe; il D.Lgs. 9 settembre 2026, n. 160, artt. 11, 12 e 15; il codice penale, artt. 437, 437-bis, 612-ter e 612-quater; e il D.Lgs. 8 giugno 2001, n. 231, con particolare riguardo agli artt. 5, 13 e 25-vicies.

Giurisprudenza utilizzata esclusivamente come criterio interpretativo

Le seguenti pronunce riguardano fattispecie diverse dai nuovi artt. 437-bis c.p. e 25-vicies D.Lgs. 231/2001: Corte di cassazione, Sezioni unite penali, 24 aprile 2014, n. 38343, sul sistema 231 e la colpa di organizzazione, richiamata nella successiva giurisprudenza verificata; Corte di cassazione, sezione IV penale, 17 aprile 2019, n. 44399, su interesse dell’ente e risparmio relativo a cautele in altro contesto; Corte di cassazione, sezione IV penale, 15 febbraio 2022, n. 18413, sulla distinzione fra mancata adozione del modello e colpa di organizzazione; Corte di cassazione, sezione IV penale, 28 marzo 2023, n. 21704, sul medesimo profilo; Corte di cassazione, sezione III penale, 24 gennaio 2024, n. 11390, sulla tassatività temporale del catalogo e sull’accertamento dell’illecito dell’ente; Corte di cassazione, sezione IV penale, 13 maggio 2025, n. 30039, sulla distinzione tra colpa individuale e organizzativa; Corte di cassazione, sezione I penale, 18 settembre 2025, n. 36901, sulla funzione di una clausola di riserva in altra incriminazione.

Dottrina specifica

Margherita Lombardo, «Art. 612 quater c.p. – Illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale».

Margherita Lombardo, «Reati commessi con l’uso di sistemi di intelligenza artificiale (art. 25-vicies)», in La responsabilità amministrativa delle società e degli enti (D.Lgs. 231/2001) – I reati presupposto, data di pubblicazione non verificata.

Fragasso, «Art. 437-bis c.p.: il nuovo reato di pericolo concreto in materia di i.a.», in QG, 23 settembre 2026;